CVE-2026-1830criticalexplotación observadaCWE-862

CVE-2026-1830: fallo crítico en davidfcarr Quick Playground

Quick Playground <= 1.3.1 - Missing Authorization to Unauthenticated Arbitrary File Upload

Publicada el

Seguir esta CVE+ Monitorear Quick Playground

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

85Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 9.8epss 8.1%
de la publicación al arma50 días
Publicada en NVD9 abr
1ª PoC+50d
VulnCheck+187d
The Quick Playground plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 1.3.1. This is due to insufficient authorization checks on REST API endpoints that expose a sync code and allow arbitrary file uploads. This makes it possible for unauthenticated attackers to retrieve the sync code, upload PHP files with path traversal, and achieve remote code execution on the server.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
davidfcarr · Quick Playground
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — davidfcarr Quick Playground

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-6403HIGHQuick Playground <= 1.3.3 - Unauthenticated Path Traversal to Arbitrary File Read via 'stylesheet' ParameterEPSS 0.8%CVE-2026-2500MEDIUMQuick Playground <= 1.3.4 - Authenticated (Administrator+) Arbitrary File Read via 'filename' ParameterEPSS 0.3%